Datenschutzerklärung

Entwurf – vor der Veröffentlichung rechtlich prüfen lassen. Gelb markierte Stellen sind Platzhalter. Die Beschreibung der Datenflüsse entspricht der technischen Umsetzung (Stand 27.09.2026); die rechtliche Einordnung (Rollen, Rechtsgrundlagen, Drittlandübermittlung) ist zu prüfen. Abschnitt 3.4 (Erster Check) und Abschnitt 4 (Konten für Praxen und Organisationen) beschreiben Funktionen nach ihrer Spezifikation – vor der Veröffentlichung mit der Umsetzung abgleichen. Vor der Veröffentlichung „noindex“ im Seitenkopf entfernen.

1. Verantwortlicher

[Name / Firma]
[Straße Nr.]
[PLZ Ort], Deutschland
E-Mail: [datenschutz@…] · Telefon: […]

Datenschutzbeauftragte/r: [Name und Kontakt, falls benannt – sonst Absatz streichen]

2. Grundsatz: Ihre Hausapotheke bleibt auf Ihrem iPhone

RefillFox ist „local-first“. Ihre Hausapotheke – Arzneimittel, Verfallsdaten, Vorräte, Aufbewahrungsorte, Familienmitglieder, Einkaufsliste und Erinnerungen – wird ausschließlich auf Ihrem iPhone gespeichert (mit dem iOS-Dateischutz „Complete Protection“) und nie an uns übertragen. Die App funktioniert ohne Konto und ohne Internetverbindung. Erinnerungen werden auf dem Gerät geplant; unser Server kennt sie nicht. Daten aus Ihrer Hausapotheke verlassen Ihr iPhone nur, wenn Sie sie ausdrücklich freigeben: Ihre Reservierungen (Abschnitt 3.2) und – einmalig, anonym, ohne Arzneimittel – die Zahlen Ihres ersten Checks (Abschnitt 3.4).

Die App enthält keine Analyse-, Werbe- oder Tracking-SDKs und keine Absturz-Melder von Drittanbietern. Absturzberichte erhalten wir nur über Apple, wenn Sie in den iOS-Einstellungen das Teilen mit App-Entwicklern erlaubt haben. Fragen an die Funktion „Hausapotheke fragen“ werden ausschließlich auf dem Gerät ausgewertet.

Das gilt für alle Funktionen für Familien. Wenn Sie RefillFox für eine Praxis oder Organisation nutzen (Einstellungen → Für Praxen & Organisationen), gilt für deren Daten zusätzlich Abschnitt 4.

3. Welche Daten Ihr iPhone verlassen – genau vier Datenflüsse

3.1 QR-Code-Scan – ohne personenbezogene Daten

Wenn Sie den QR-Code Ihrer Apotheke scannen (Kassenbon, Aufkleber oder Aufsteller), übermitteln App, App Clip bzw. diese Website nur die Kennung der Apotheke, den Kanal (Kassenbon, Aufkleber, Aufsteller) und die Art des Ereignisses (Scan, App Clip geöffnet, App mit der Apotheke verbunden, Kassenbon übernommen). Daraus entsteht ein Zähler pro Apotheke. Wir speichern dazu weder IP-Adresse noch Geräte-Kennung. Die Artikel eines Kassenbons übernimmt die App nur in Ihre lokale Hausapotheke; an uns geht lediglich die Prüfung, dass der Kassenbon echt ist.

Zweck: anonyme Statistik für die Apotheke. Rechtsgrundlage, soweit überhaupt ein Personenbezug besteht: Art. 6 Abs. 1 lit. f DSGVO. [prüfen]

3.2 Reservierung – nur mit Ihrer ausdrücklichen Einwilligung

Wenn Sie in der App eine Reservierung abschicken, erhält die von Ihnen gewählte Apotheke:

• die Positionen (Pharmazentralnummer, Name, Menge),
• optional ein Wunschdatum für die Abholung,
• optional einen Namen für die Abholung und einen kurzen Hinweis, wenn Sie diese eintragen,
• eine anonyme Geräte-Kennung (anonyme Anmeldung ohne E-Mail-Adresse oder Telefonnummer), damit Sie den Status Ihrer Reservierung sehen können.

Die Reservierung wird in unserer Datenbank gespeichert und der Apotheke im RefillFox-Cockpit angezeigt bzw. per E-Mail zugestellt. Die Apotheke sieht nur diese Reservierung – nie Ihre Hausapotheke, andere Familienmitglieder oder Ihren Verlauf.

Weil Arzneimittel Rückschlüsse auf Ihre Gesundheit zulassen können, verarbeiten wir diese Daten nur mit Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a DSGVO), die Sie vor der ersten Reservierung in der App erteilen. Ohne Einwilligung ist nur die Reservierung nicht verfügbar; alles andere funktioniert. Sie können die Einwilligung jederzeit in der App unter Einstellungen widerrufen; das gilt für die Zukunft.

Speicherdauer: Abgeschlossene Reservierungen (abgeholt, nicht vorrätig, abgelaufen, storniert) werden 90 Tage nach dem letzten Statuswechsel gelöscht. Offene Reservierungen verfallen nach 24 Stunden ohne Antwort bzw. 72 Stunden nach „abholbereit“. [Rollenverteilung prüfen: RefillFox als Auftragsverarbeiter der Apotheke (AVV nach Art. 28 DSGVO) oder als eigener Verantwortlicher]

3.3 Push-Token – nur für den Status Ihrer Reservierung

Wenn Sie Mitteilungen erlauben, speichern wir das Push-Token Ihres iPhones (von Apple vergeben) zusammen mit der anonymen Geräte-Kennung, um Ihnen Statusänderungen Ihrer Reservierung zu senden – etwa „bestätigt“, „abholbereit“, „nicht vorrätig“ oder „abgelaufen“. Für nichts anderes. Das Token wird gelöscht, sobald Apple es als ungültig meldet, spätestens aber 180 Tage nach der letzten Aktualisierung, wenn keine Reservierung mehr gespeichert ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Erlaubnis der Mitteilungen). [prüfen]

3.4 Erster Check – nur wenn Sie „Anonym teilen“ tippen

Wenn Ihre Hausapotheke nach dem Erfassen zum ersten Mal mindestens drei Packungen enthält, fragt die App einmal, wie viele abgelaufene Packungen Sie dabei aussortiert haben. Die Antwort ist freiwillig. Nur wenn Sie danach „Anonym teilen“ tippen, sendet die App einmalig: die von Ihnen eingegebene Zahl, die Zahl der Packungen in Ihrer Hausapotheke, wie viele davon laut App abgelaufen sind, die von Ihnen gewählte „Meine Apotheke“ (falls vorhanden), Version und Sprache der App sowie das Datum (ohne Uhrzeit). Wir speichern dazu weder Namen, Konto, Geräte-Kennung noch IP-Adresse und keine Arzneimittel. Mit „Nur für mich“ oder „Überspringen“ verlässt nichts Ihr iPhone.

Zweck: anonyme Statistik, wie viel in Hausapotheken abläuft. Wir veröffentlichen nur zusammengefasste Werte ab 50 Antworten, für eine einzelne Apotheke ab 10 Antworten. Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie mit „Anonym teilen“ erteilen. Ohne Internetverbindung versucht die App das Senden beim nächsten Öffnen erneut und verwirft die Angaben nach 7 Tagen; „Alle Daten löschen“ verwirft sie sofort. Weil die Angaben keinem Gerät und keiner Person zugeordnet sind, können wir eine einzelne Antwort nach dem Senden nicht mehr finden oder löschen. Speicherdauer: 36 Monate. [prüfen, auch Protokolle des Backends]

4. Konten für Praxen und Organisationen

Arzt- und Zahnarztpraxen, Kitas, Schulen, Betriebe und Vereine können in der App unter Einstellungen → Für Praxen & Organisationen ein Konto anlegen, um ihren Notfallkoffer bzw. ihr Erste-Hilfe-Material zu verwalten. Anders als die Hausapotheke einer Familie liegen diese Daten auf unserem Server, damit alle Mitarbeitenden der Organisation denselben Stand sehen. Die Anmeldung erfolgt mit der dienstlichen E-Mail-Adresse. Für die Hausapotheke Ihrer Familie ändert sich dadurch nichts (Abschnitte 2 und 3).

• Kategorien: Name und dienstliche E-Mail-Adresse der Mitarbeitenden (Admin, Prüfer:in, verantwortliche Person); Angaben zur Organisation und für die Rechnung; Angaben zu Erste-Hilfe-Material (Erste-Hilfe-Punkte, Standorte, Inhalt, Mengen, Ablaufdaten), bei Praxen auch der Bestand des Notfallkoffers mit Medikamenten (Name, PZN, Charge, Verfallsdatum, Kennzeichen „verschreibungspflichtig“); Prüfungen (Ergebnis, prüfende Person, Zeitpunkt, Prüfprotokoll); gemeldete Entnahmen (nur Material und Menge) und Bestellungen bei der Bestellapotheke.
• Keine Gesundheitsdaten: kein Verbandbuch – keine Namen Verletzter, keine Angaben zu Verletzungen oder geleisteter Hilfe –, keine Medikamente einzelner Kinder und keine Patientendaten. Der Notfallkoffer einer Praxis ist Bestand der Praxis: Seine Medikamente sind Angaben zu Produkten, nicht zu Personen. Freie Textfelder weisen darauf hin („Keine Patientendaten eingeben.“); Betäubungsmittel werden in RefillFox nicht geführt. [prüfen]
• Rechtsgrundlage und Rolle: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit der Praxis bzw. Organisation). Für die Daten, die die Organisation in ihrem Konto verwaltet, sind wir Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags (AVV) mit der Organisation. [prüfen]
• Speicherort: Supabase, Rechenzentrum in der EU (Irland, Dublin).
• Benachrichtigungen: Erinnerungen per Push-Mitteilung an die verantwortliche Person; Anmeldecodes, Einladungen und eine wöchentliche Übersicht für Admins per E-Mail über [E-Mail-Dienstleister prüfen].
• Apotheke: Die Bestellapotheke sieht nur die Bestellungen der Praxis bzw. Organisation mit den Angaben für Abholung und Rechnung – nicht den übrigen Bestand.
• Löschung: Mitarbeitende löschen ihr Konto, Admins die ganze Organisation direkt in der App; vorher lassen sich die Daten exportieren. [Aufbewahrungsfristen für Rechnungsdaten prüfen]

5. Diese Website (refillfox.de)

Die Website setzt keine Cookies, verwendet kein Tracking und bindet keine Inhalte Dritter ein.

• Hosting: Vercel Inc., [Anschrift], USA. Beim Aufruf verarbeitet der Hoster technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung) in Server-Protokollen zur Auslieferung und Absicherung. Speicherdauer: [laut Vercel]. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Drittlandübermittlung: [EU-US Data Privacy Framework / Standardvertragsklauseln prüfen].
• Apotheken-Seite nach einem QR-Scan: Die Seite lädt die öffentlichen Angaben der Apotheke (Name, Adresse, Telefon, Öffnungszeiten) aus unserem Backend (Supabase, Rechenzentrum Irland, Dublin) und meldet den anonymen Scan wie unter 3.1 beschrieben. Dabei überträgt Ihr Browser technisch bedingt seine IP-Adresse; wir speichern sie nicht. [Protokolle des Backends prüfen]
• Startseite: Die Startseite merkt sich im lokalen Speicher Ihres Browsers (localStorage), ob Sie „Familien“, „Praxen & Organisationen“ oder „Apotheken“ gewählt haben. Dieser Wert verlässt Ihr Gerät nicht (§ 25 Abs. 2 Nr. 2 TDDDG). Das Kontaktformular öffnet derzeit Ihr E-Mail-Programm. Nach Aktivierung der Direktübermittlung werden die eingegebenen Angaben (Name, E-Mail, Ort, Apotheke bzw. Organisation, Auswahlfelder, Nachricht, Sprache) verschlüsselt an unser Backend (Supabase, Rechenzentrum Irland, Dublin) übermittelt und dort ausschließlich zur Bearbeitung der Anfrage gespeichert; Löschung spätestens 24 Monate nach Eingang, erledigte Anfragen nach 12 Monaten. Eine IP-Adresse wird nicht gespeichert. [Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO und AVV mit Supabase prüfen]

6. Empfänger und Dienstleister

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter.

7. Keine automatisierten Entscheidungen

Es findet keine automatisierte Entscheidungsfindung und kein Profiling statt. Die Reihenfolge der Partner-Apotheken bei einer Reservierung folgt veröffentlichten Kriterien: So sortieren wir Apotheken.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77), zum Beispiel bei [zuständige Behörde, z. B. Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)].

Weil wir Sie nicht kennen (die App nutzt nur eine anonyme Kennung), geht das am schnellsten direkt in der App: Unter Einstellungen können Sie die Einwilligung widerrufen, alle Daten exportieren und mit „Alles löschen“ Ihre Hausapotheke vom Gerät entfernen. [Ablauf für Auskunfts- und Löschanfragen zu Reservierungen per E-Mail beschreiben]

Mitarbeitende einer Praxis oder Organisation wenden sich mit Anliegen zu den Daten in deren Konto an die Praxis bzw. Organisation; wir unterstützen sie dabei nach dem AVV.

Stand: [Datum der Veröffentlichung]